导读拿到一台 Web 服务器权限只是拿到了进入城堡的门票。真正的宝藏——财务系统、OA审批、核心数据库——都藏在层层防御的内网深处。本期将为你绘制一张内网藏宝图让你明白黑客眼中的企业网络到底是什么样子。一、 什么是内网黑客视角在渗透测试工程师眼里企业的网络不是扁平的而是分层的。1. DMZ非军事化区位置互联网的最前沿。资产Web 服务器、邮件网关、VPN 入口。特点通常能通外网但不能直接访问内网核心区。你的位置你现在在这里拿到了 Web 权限。2. 办公网Office Network位置DMZ 之后。资产员工 PC、文件服务器、Gitlab、Jira。特点安全意识相对薄弱容易通过弱口令或钓鱼拿下。3. 核心区Core Zone / DC位置最深处的保险柜。资产域控制器Domain Controller、核心数据库DB、支付网关。特点防护最严通常禁止出网只有特定端口互通。二、 看懂网络拓扑一张图胜过千言万语为了让你理解攻击路径我们来看一个典型的中小企业内网拓扑及其攻击流[ 互联网 Internet ] | | (80/443) V [ 防火墙 Firewall ] | | (172.16.1.10) V [ Web 服务器 (CentOS) ] -- 你在这里 (Jump Host) | | (内网互通 192.168.10.0/24) V [ 办公网 PC (Win10) ] --- [ 文件服务器 ] | | (域信任 192.168.20.0/24) V [ 域控 (DC01) ] -- 最终目标 (Golden Ticket)攻击逻辑推演立足通过 Web 漏洞拿下Web 服务器。嗅探在 Web 服务器上执行arp -a发现192.168.10.5是办公网的一台 PC。横向利用 Web 服务器上窃取的密码尝试登录192.168.10.5。集权在办公网 PC 上抓取域用户 Hash利用Pass The Hash​ 攻击域控。三、 核心概念域Domain与工作组这是 Windows 内网渗透的基础。特性工作组 (Workgroup)域 (Domain)管理模型​分散管理每台机器自己管自己集中管理DC 说了算身份验证​本地账户SAM 库域账户AD 数据库 NTDS.dit渗透目标​每台机器单独打拿下域控 拿下整个内网​实战判断当你拿到一台 Windows 机器执行cmdnet config workstation如果显示工作站域 xxx.com恭喜你这是域环境你的下一个目标就是xxx.com 的域控。四、 实战演练内网信息收集Linux 版假设你现在已经在 Web 服务器上有了 Shell。1. 我是谁我在哪whoami # 当前用户 hostname # 主机名 uname -a # 内核版本提权依据 ifconfig / ip a # 网卡信息找内网段2. 找邻居扫描内网不要用nmap大流量扫描容易被发现用ARP 扫描​ 更隐蔽。# 查看 ARP 缓存已经通信过的机器 arp -a # 使用 Bash 脚本快速探测存活主机轻量级 for i in {1..254}; do ping -c 1 192.168.1.$i | grep bytes from; done3. 找密码# 查找配置文件 find / -name config*.php -o -name *.conf 2/dev/null # 查找数据库密码 grep -r password /var/www/html五、 2026 年趋势云环境与容器化现代企业的内网不再局限于物理机房。云内网Cloud VPC目标可能是 AWS EC2 或 阿里云 ECS。元数据Metadata攻击curl http://169.254.169.254/latest/meta-data/可能泄露 IAM 角色凭证从而接管整个云账号。容器Docker/K8s如果你在容器里目标是Docker Escape容器逃逸。检查是否在容器中ls /.dockerenv。⚠️ 安全警示与法律红线 后渗透是法律的高压线严禁横向移动在 SRC 或常规渗透测试中绝对禁止从 Web 服务器攻击内网其他机器。这是红线中的红线。严禁触碰核心数据即使在内网也严禁查看、下载、修改数据库中的真实业务数据如用户银行卡信息、交易记录。靶场练习请在HTB (Hack The Box)、VulnHub​ 或CyberSec Labs​ 等合法靶场中练习本期内网拓扑分析。内网渗透是一把屠龙刀。你可以拥有它但挥舞它之前必须确认脚下是合法的猎场。 互动环节你们公司的内网是按照这种三层架构设计的吗在云原生时代你觉得传统的内网渗透技术还适用吗欢迎在评论区留言讨论 下一期预告【后渗透-Linux篇】Linux 提权与逃逸 —— 如何从www-data逆袭为root